日経XTECH曰く「SSL証明書の発行者がLet's Encryptならまず詐欺」 | スラド セキュリティ

技術系メディアの日経クロステック (xTECH) が 4 日に公開した「偽サイトもアドレス欄に鍵マーク、証明書を確認してフィッシング詐欺を見抜こう」という記事が問題になっているので共有したい (はてなブックマーク)。 問題になっているのは、現代では SSL の有無だけで本物かどうか判断できないため証明書の種類を見るべきだとする以下のような記述。 このうち詐欺で悪用されるのがDV証明書。「Let's Encrypt」という認証局では無料で発行しており、フィッシング対策協議会によれば、一部の例外を除いて大半のフィッシングサイトでこの証明書が利用されているという。大手企業が利用するケースは考えにくい。ブラウザーの証明書ビューアーで、発行者が「Let's Encrypt」ならまず詐欺なので用心しよう。

[strawberryhunter]

つまり、日経の基準では使われていればほぼ詐欺サイトのSSLを維持するLet's Encryptを支援するGoogle, Amazon, CISCO, 日本だとさくらインターネットなどは詐欺ほう助団体ということだろうか。

[tSU_RooT]

TLS証明書の責務は通信相手のドメイン所有の確認と通信路の保護であるという制限はなぜ忘れられがちなのか

[oxam]

謎のSSL証明書メーカー

[mitchell1983]

Let'sなら詐欺じゃなくて、EV使用のサイトだけ使ってれば詐欺会わないよ、ぐらいのテイストでいいのに。SSLの主目的は暗号化通信にあるわけで、組織の補償は補助的な部分でしょ。

[sora_h]

EVも全く同じ名前の別の会社名義など人間を騙すのは容易でブラウザのサポートが弱くなったので、それ書いててもボコボコにされていい記事になる

[ardarim]

NHKニュースでやってるストップ詐欺被害ってやつも割とこんな感じで○○なら詐欺です、って言い切ってて共感性羞恥で見てられない。騙されやすい老人向けなのは分かるけれども

[ad2217]

大学とかもLet's Encrypt使っていると思うが。

[mohno]

「発行者が「Let's Encrypt」ならまず詐欺なので用心しよう」←突っ込まれたので、こっそり「まず詐欺なので」を削除したらしい。/というかLet's Encryptがあるから非SSLを検索から外せるようになったと思うんだが。

[hogeaegxa]

.tkとかいうドメインのサイトがまず詐欺ぐらいには正しい。タダと自由は犯罪者も大好きだ。

[takafumiat]

たしかに、このサイト怪しいと思うと、サーバー証明書を調べます。レッツエクリプトかどうか、 というよりも会社名が表示されない 証明書は怪しいと思っています。

[ozomatli]

流石に釣り針でかすぎるって

[tzt]

日経を読んでるヤツがアクセスするサイトでlet's encryptならまず詐欺ってことで正しい。

[juejue]

『包丁を使った殺人が行われているから、包丁を使ってる人はみんな殺人者』理論

[hkanemat]

関係者には失礼な話かもしれないが、まだスラドって生きてたのね

[daishi_n]

まあ、ACMもLet's encryptもDV証明書だからドメイン所有者が発行した、以上の証明にはならんよね。そりゃまあ、クレカや金融機関はEV証明書が望ましいが

[nekoline]

リベートでも貰ってんの？無料で証明書配られたら商売成り立たないもんね

[tinsep19]

EVとかをACMEで取得するのどうやるんだろ。それできれば、EV取ろっかな。

[clairvy]

疑うのはいいけど、じゃあどうすんのって話

[hagane]

大澤昇平を思い出した

[kunta201020]

詐欺を働く大半が人間だから、人間は全て詐欺師だってこと

[butani]

日経を大人向けではなく小学生向けだと考えるといいアドバイス

[trace22]

まあ技術的には相手が自分の信頼している相手かどうかを確認する術はないんだよな。結局信頼できる別経路に頼る方式はいい加減卒業したいとこだな

[hdampty7]

「SSLの主目的は暗号化通信にあるわけ」ではないよ。通信相手の安全性が確保されないと通信経路の安全性の確保は無理な訳で。通信相手の安全性は２者間では無理なのでそこで第三者による保証が必要で発行者云々になる

[Palantir]

見た時笑ったけど鍵マークとかHTTPセキュアとかは誤解を招くよなーと思う。 Sじゃないサイトを安全じゃないって表示もSなら安全って誤解するよね。 先の議論は知らんが

[lbtmplz]

個人サイトを不当に詐欺呼ばわりとはインターネット精神に欠けますねえ。貴様らの方がスパム疑いがあるが？

[pqw]

人月商売の本邦SIerは滅びるノストラダムス木村岳史も日経クロステックだしタレントに事欠かないな

[oakbow]

大企業なのでEV使うべき、みたいなアホな提案していたコンサルが昔いたなあ…

[Andrion]

"大手企業が利用するケースは考えにくい"という話だから、国の機関や銀行やカード会社はLet's使ってないだろって話でしょ。別にそこはおかしくない

[ton-boo]

「証明書の発行者を確認して信頼できるCAかどうか確認する」より「ドメインが利用したいサービスのものか確認する」ことを利用者に求めるほうがあらゆる面で圧倒的に正しい

[door-s-dev]

ひどいなぁ

[Shinwiki]

言いたいことはわかるけど、言い回し次第でどれだけ敵を作るか考えてみることはできなかったんだろうか？逆に「詐欺サイトの多くはlet's使って鍵マーク出してるよ」とかにすれば当たり障りなくなんのに。

[burnoutdog]

まあ大手企業が決済とかがあるサイトで使うことはないな…。あとさあ、必要条件と十分条件を誤読するのはダメでしょ。タイトルに悪意あり

[eagleyama]

詐欺多過ぎる